Groupe de Travail ALCO : Contrôles de Compliance MIFID

Groupe de Travail ALCO : Contrôles de Compliance MIFID o Composition : - Sous-groupe de Travail «Conflits d intérêt/inducements» : Sophie BAUWENS, Alexandra MELIS, Patrick CHILLET, Vincent SALZINGER. - Sous-groupe de Travail «Classification des clients et outsourcing» : Véronique BASTIN, Joelle BLUM, Jean-Marc DEVIN - Sous-groupe de Travail «Best Execution et Order Handling» : Olivier GRAMAGLIA, Olivier POELMANS, Joëlle WRIGHT, Jean-Michel RIGHI - Sous-groupe de Travail «Test de suitability & appropriateness et information client» : Marie BARTHELET, Béatrice DEBARNOT, Jean-Louis PFEIFFER, Jehan DE BUCHET, Luu VU, Pascale JACQUET o Comité de Rédaction : - Marie BARTHELET - Véronique BASTIN - Sophie BAUWENS - Patrick CHILLET - Pascal EVERARD - Jean-Michel RIGHI 1

I. Introduction La fonction Compliance est souvent vue à travers sa partie la plus noble : le conseil, l analyse de la réglementation, la rédaction de Codes de conduite, de guidelines, de procédures décrivant de manière harmonieuse comment bien respecter la réglementation. Ceci est d autant plus vrai dans les pays où, comme au Grand-Duché de Luxembourg, la fonction est relativement récente et où la principale préoccupation des Compliance Officers, parfois novices dans la fonction, est souvent de dresser le cadre d une fonction de Compliance dans leur établissement. Même si ces tâches d organisation et de formalisation de la politique de Compliance sont, d évidence, indispensables et représentent un des piliers majeurs de la fonction, il serait une erreur pour les Compliance Officers de s arrêter là. A défaut, les désillusions risquent d être cruelles lorsque, à l occasion d un audit interne ou externe, d un contrôle des autorités ou d une affaire éclatant dans la presse, on s aperçoit que le bel édifice que l on s est attelé à construire n est pas respecté en pratique et que le risque de Compliance que l on croyait théoriquement couvert reste plein et entier dans la réalité. Le contrôle fait donc bien partie des matières à organiser par le Compliance Officer. Parodiant Rabelais et son célèbre axiome Science sans conscience n est que ruine de l âme, on pourrait dire: Rôle sans contrôle n est que ruine de la fonction Compliance.. Pas question pour autant d imposer aux Compliance Officers de tout contrôler, et encore moins eux-mêmes, dans les activités de l établissement dont ils défendent la réputation. A cet égard, la très équilibrée Circulaire 04/155 de la Commission de Surveillance du Secteur Financier (ci-après CSSF ) sur la fonction Compliance apporte de nombreux éléments qui permettent de délimiter le rôle de contrôle des Compliance Officers. En premier lieu, la Charte de Compliance doit clairement fixer le périmètre de la fonction dans chaque établissement. Si des matières comme le blanchiment d argent et les règles de conduite doivent d évidence y être inclues, la responsabilité d autres matières peut clairement être confiée à d autres fonctions. Ensuite, la Circulaire CSSF 04/155 laisse largement la possibilité aux Compliance Officers de déléguer certaines tâches à d autres fonctions: il est inconcevable que la fonction Compliance prenne en charge en direct tous les contrôles qu elle estime nécessaires pour faire un bon monitoring des matières dont elle a la responsabilité du suivi. La fonction Compliance, et particulièrement en ce qui concerne son activité de contrôle, est avant tout, une fonction de coordination et d organisation. Elle exerce un contrôle de deuxième 2

niveau visant à s assurer que les mesures qu elle a contribué à mettre en place sont bien efficaces. Pour illustrer ce propos, nous avons pris, à titre d exemple, la toute récente réglementation MiFID et sa partie relative aux règles de conduite dans le secteur financier. Cette matière fait partie, avec la lutte contre le blanchiment d argent et le financement du terrorisme, des préoccupations quotidiennes des Compliance Officers des Banques, surtout lorsqu elles ont une activité de Private Banking, et de nombreuses entreprises d investissement. Il s agit d une matière où la réglementation est dense et assez complexe. Même si certains grands principes qu elle décline ont été précisés dans la Circulaire de la CSSF 07/307, les règles de conduite du secteur financier sous l angle MiFID restent une matière laissant aux Compliance Officers un travail important d adaptation pour aboutir à des règles claires et applicables en pratique. C est encore plus vrai s agissant des contrôles, dont l étendue, la portée, la méthodologie ou la fréquence ne sont que rarement abordés dans la réglementation. Nous sommes partis du postulat que, six mois après la date d entrée en vigueur de la réglementation MiFID, l essentiel des mesures d encadrement nécessaires à la bonne gestion des risques de Compliance qui y sont liés, avaient été implémentées. Il s agit en effet d un pré requis pour établir un plan de contrôle dans les principales matières que couvrent les principales règles de conduite MiFID. Le tableau annexé au présent rapport a pour objectif de dresser une liste, évidemment non exhaustive, des contrôles possibles. La plupart de ces contrôles sont exercés réellement ou en cours d implémentation dans l un ou l autre des établissements représentés dans le Groupe de Travail. Mais aucun de ces établissements ne les exerce tous. De fait, en aucun cas, il ne s agit d un inventaire de contrôles obligatoires que l on peut s attendre à trouver dans chaque établissement. Chacun doit, en fonction de ses activités, de sa taille, de son organisation et de son appétit aux risques MiFID, décider quels contrôles il met en place, comment, à quelle fréquence et qui en est chargé. A cet égard, le Compliance Officer joue un rôle de conseil majeur. Nous espérons que ce document permettra d animer le débat et aidera ceux qui débutent dans la matière à mieux appréhender les frontières de leur rôle. Pour ceux qui sont en phase d implémentation d un plan de monitoring MiFID, il s agit d un outil supplémentaire pour mener à bien cette mission difficile. 3

II. Rappel de la réglementation et rôle du Compliance Officer Le 21 avril 2004, le Parlement Européen et le Conseil de l Union Européenne ont émis la directive «Market in Financial Instruments Directive» 2004/39/CE, relative aux marchés d instruments financiers. En date du 10 mai 2006, la Commission des Communautés Européennes a émis la directive 2006/73/CE portant mesures d'exécution de la directive 2004/39/CE du Parlement européen et du Conseil en ce qui concerne les exigences organisationnelles et les conditions d'exercice applicables aux entreprises d'investissement et la définition de certains termes aux fins de ladite directive en date. Le législateur luxembourgeois a transposé ces directives respectivement dans la Loi du 13 juillet 2007 relative aux marchés d instruments financiers et dans le Règlement grand-ducal du 13 juillet 2007 relatif aux exigences organisationnelles et aux règles de conduite dans le secteur financier. Le Règlement grand-ducal (art. 6.4.) établit que, afin de permettre à la fonction de Compliance de s acquitter de ses missions de manière appropriée et indépendante, les établissements de crédit doivent veiller à ce que les conditions suivantes soient remplies: a) la fonction de Compliance dispose de l autorité, des ressources humaines et techniques et de l expertise nécessaires ainsi que d un droit d accès à toute information nécessaire à l exécution de ses missions. Elle fait rapport à la direction autorisée et, en cas de besoin, aux instances de surveillance; b) la direction autorisée désigne un employé chargé de diriger la fonction de Compliance et qui est responsable de cette fonction. Cet employé est responsable pour l établissement des rapports écrits sur l état de la Compliance; c) les personnes concernées participant à la fonction de Compliance ne doivent pas être impliquées dans l exécution des services et activités qu elles contrôlent; d) le mode de détermination de la rémunération des personnes concernées participant à la fonction de Compliance ne doit ni compromettre, ni être susceptible de compromettre, leur objectivité. Toutefois, la Commission peut dispenser un établissement de crédit ou une entreprise d investissement du respect des lettres c) ou d) si l établissement de crédit ou l entreprise d investissement est en mesure de démontrer que, compte tenu de la nature, de l étendue et de la complexité de son activité, ainsi que de la nature et de l éventail des services et activités d investissement fournis ou exercées dans le cadre de son activité, l obligation imposée par la lettre c) ou d) n est pas proportionnée et que sa fonction de Compliance continue à être efficace. Dans sa circulaire 2007/307, la CSSF a apporté des explications et précisions concernant certaines dispositions de la loi du 13 juillet 2007 et du règlement grand-ducal du 13 juillet 2007. Ainsi, la circulaire susmentionnée précise-t-elle le rôle de contrôle de la fonction Compliance quant aux exigences réglementaires relatives aux marchés d instruments financiers. 4

Selon le point 17 de la circulaire CSSF 2007/307, «la direction autorisée détermine les moyens humains et techniques à mettre en œuvre pour appliquer correctement la politique et les règles requises par la loi, le règlement grand-ducal MiFID et par la présente circulaire. Elle fait contrôler régulièrement le respect de cette politique et des procédures y relatives par sa fonction Compliance et par sa fonction d audit interne. A cet effet, elle se fait remettre régulièrement, et au moins une fois par an, des rapports écrits par les fonctions précitées. Ces rapports doivent présenter en particulier les insuffisances relevées, les mesures correctrices prises et le suivi effectif de ces mesures. La direction autorisée veille à ce que régulièrement, et au moins une fois par an, un rapport sur le fonctionnement de la gestion des risques soit établi dans le cadre de son suivi critique de la politique et des procédures en la matière.» Il est rappelé dans le point 20 de la circulaire 2007/307 que «la mission de la fonction Compliance est d identifier et d évaluer le risque de l établissement de ne pas être conforme dans la pratique de son activité aux dispositions de la loi MiFID, du règlement grand-ducal MiFID, de la présente circulaire ainsi que des règles et procédures que l établissement s est données dans le cadre de sa politique de gestion des risques. Les circulaires CSSF 04/155 (relative à la fonction Compliance) de même que la circulaire IML 98/143 (relative au contrôle interne et à l audit interne) restent pleinement d application.» III. Compliance Monitoring Plan La dimension «Contrôles» de la fonction Compliance a pour objectif de fournir aux autorités réglementaires, ainsi qu à la Direction et au Conseil d Administration de l établissement, l assurance d une couverture adéquate des risques de Compliance. Elle organise efficacement cette mission par le déploiement d un Compliance Monitoring Program/Plan (CMP), qui constitue un véritable outil de planification et de suivi des contrôles de Compliance. La mise en œuvre du CMP passe par une analyse préliminaire des risques de Compliance - découlant des obligations réglementaires - puis par une définition des contrôles aptes à couvrir ces risques. Une analyse des procédures et standards en place, ainsi qu une bonne appréciation du degré de maturité des contrôles existants permettent d ajuster le mode d intervention de la Compliance, en termes de profondeur et de fréquence des contrôles. En ce sens, la Compliance tendra idéalement à exercer un contrôle de deuxième niveau, en se reposant sur les contrôles réalisés en amont, dont elle vérifiera la qualité. Si l établissement s était déjà doté d un Compliance Monitoring Program/Plan avant l entrée en vigueur de MiFID, les prescriptions de la loi, du règlement grand-ducal et de la circulaire y relatives viendront alors naturellement renforcer et compléter les volets «Protection de 5

l Investisseur» et «Ethique» précédemment alimentés par la circulaire CSSF 2000/015 aujourd hui abrogée. L utilité d un tel outil de pilotage prend ici tout son sens dans la mesure où MiFID introduit un certain nombre de nouvelles exigences dont il faut contrôler le respect dans les limites des ressources Compliance disponibles. Le tableau annexé s inscrit dans cette démarche en proposant une liste de contrôles à mettre en œuvre. En intégrant tout ou partie de ceux-ci dans le CMP, on pourra en mesurer l impact en termes de charge de travail et simuler différents scénarios de fréquence et de niveau d intervention de la Compliance compte tenu des risques exposés. De même, pour répondre aux exigences de MiFID, la fonction Compliance de certains établissements a dû développer et prendre directement en charge certains contrôles, Dans certains cas, le processus de transfert de cette tâche vers des entités plus opérationnelles est toujours en cours et le Compliance Monitoring Program permet encore ici d en assurer un suivi efficace, en toute transparence. IV. Commentaires sur le tableau des contrôles Le tableau repris en annexe a pour objectif de proposer une liste non-exhaustive de contrôles de deuxième niveau, permettant à la fonction Compliance de s assurer de la couverture du risque de non-conformité d un établissement à la règlementation MIFID. Basé sur les références légales en vigueur (directive 2004/39/EC, loi et règlement grand-ducal du 13 juillet 2007 et circulaire CSSF 07/307), ce tableau définit l objectif des contrôles proposés et en donne une description détaillée. La colonne «pré-requis» reprend les mesures d organisation, les procédures ou les contrôles de premier niveau, nécessaires à la réalisation des contrôles de deuxième niveau. En fonction de l organisation, ces contrôles de deuxième niveau peuvent être réalisés par la fonction Compliance ou éventuellement une autre fonction de contrôle comme le Risk Management par exemple. Quelle que soit l entité en charge de la réalisation de ces contrôles de deuxième niveau, il revient à la fonction Compliance de s assurer que tous les contrôles nécessaires ont été mis en place, d analyser les résultats de ceux-ci et de mettre en place les actions nécessaires dans le cas où les résultats de ces contrôles s avèrent insatisfaisants. Les différents types de risques couverts par ces contrôles sont mentionnés conformément à la cartographie des risques établie par la circulaire CSSF 07/301 relative à la mise en œuvre du processus interne d évaluation de l adéquation des fonds propres internes (ICAAP). 6

La plupart des contrôles proposés sont des contrôles «a posteriori». Il est en effet assez difficile de concevoir des contrôles «a priori» dans certaines matières, telles que le Suitability et l Appropriateness par exemple. Nous n avons pas proposé de fréquence pour ces contrôles, celle-ci restant à la libre appréciation de chaque établissement, en fonction de ses activités, de sa taille et de son organisation. Il revient également à chaque établissement de déterminer, en fonction de ces mêmes critères, les contrôles qui lui sont appropriés. V. Conclusion La liste des contrôles proposés apparaît importante mais, malgré l'inventivité dont ont fait preuve les membres des groupes de travail de l'alco mis à contribution et les expériences qu'ils ont retirées dans les différents établissements dont ils sont issus, elle ne saurait être considérée comme exhaustive. Si ces contrôles ne sont pas obligatoires en l'état, l'application des règles de conduite en la matière, que l'on trouve leur origine dans la loi, les règlements, les instructions ou les règles professionnelles approuvées par le régulateur, doit être assurée, et ce quelque soit le type d'établissement concerné. Dans cet esprit, les nécessaires contrôles implémentés doivent être adaptés à la taille et aux activités de l'établissement et trouver leur juste équilibre entre formalisme et dynamisme. Que le Responsable de la conformité soit en première ligne pour s'assurer de cette bonne mise en application et de son efficacité, rien que de plus légitime. Que le Compliance officer, soit largement sollicité dans l'organisation, la coordination et l'administration de ces nouveaux territoires réglementaires, rien que de plus normal. Mais si la mise à niveau du dispositif de contrôle pour faire face aux nouveaux enjeux est un impératif, il doit être accompagné de l'assurance de l'appropriation par les collaborateurs des différents métiers des éléments essentiels de la nouvelle donne réglementaire, d'autant plus que souvent, certains d'entre eux seront amenés à effectuer et documenter les vérifications de premier niveau. Nous souhaitons que le contenu de ce rapport, et plus particulièrement ses propositions concrètes, contribue à apporter une aide efficace dans la finalisation de l'implémentation d'un plan de monitoring de MiFID à tous ceux qui en auront la responsabilité. Luxembourg, le 14 mai 2008. 7